Platforma rynku predykcyjnego Polymarket straciła 3,1 mln USD po tym, jak napastnicy włamali się do zewnętrznego frontendu dostawcy i wyprowadzili środki z 11 portfeli użytkowników.
Samodzielne, poddane audytowi smart kontrakty platformy pozostały nienaruszone przez cały incydent.
Według raportu, skradzione tokeny PUSD zostały przeniesione z sieci Polygon (POL) na Ethereum (ETH) za pośrednictwem mostu cross-chain. Polymarket nie ujawnił publicznie nazwy skompromitowanego dostawcy.
Jak działał atak
Ataki na dostawców frontendu celują w warstwę webową, która łączy użytkowników z bazowymi kontraktami platformy. Same smart kontrakty przechowują i zarządzają środkami, ale użytkownicy wchodzą w interakcję przez warstwę przeglądarkową budowaną i utrzymywaną przez zewnętrznych dostawców oprogramowania.
W tym przypadku wydaje się, że napastnicy wstrzyknęli złośliwy kod właśnie w tej warstwie interfejsu. Użytkownicy, którzy korzystali z frontendu Polymarket w czasie trwania ataku, mieli przekierowane zgody portfeli. Jedenaście portfeli straciło środki, zanim kompromitacja została wykryta.
Fakt, że smart kontrakty przeszły audyty, zapewnia ograniczoną ochronę, gdy wektor ataku znajduje się powyżej warstwy kontraktów.
Śledztwo regulatora zwiększa presję po incydencie bezpieczeństwa
Polymarket działa pod zwiększoną uwagą regulacyjną, odkąd Komisja ds. Handlu Kontraktami Terminowymi na Towary (CFTC) rozpoczęła dochodzenie w sprawie dostępu użytkowników z USA do platformy. Śledztwo CFTC, które trwa nieprzerwanie do 2026 r., koncentruje się na tym, czy rynki predykcyjne Polymarket stanowią niezarejestrowane kontrakty towarowe dostępne dla amerykańskich użytkowników.
Platforma zyskała szeroką rozpoznawalność podczas cyklu wyborów prezydenckich w USA w 2024 r., gdy jej rynki były powszechnie cytowane w mediach jako wskaźnik szans kandydatów. Ta widoczność przyniosła zarówno wzrost liczby użytkowników, jak i wzmożoną uwagę regulatorów. Połączenie aktywnego śledztwa CFTC i głośnego incydentu bezpieczeństwa tworzy skumulowaną presję wizerunkową na operatorów platformy.
Bezpieczeństwo rynków predykcyjnych jest powracającym problemem w tym sektorze. Ataki na frontend są szczególnie trudne do zapobiegania, ponieważ polegają na kompromitacji zewnętrznych dostawców, a nie samego protokołu. Kilka platform DeFi ucierpiało w ostatnich dwóch latach w podobnych atakach przypominających kompromitację łańcucha dostaw.
Przeczytaj także: Micron staje się nową obsesją Wall Street na punkcie AI po rajdzie 236%
Co dalej
Polymarket nie potwierdził, czy poszkodowani użytkownicy otrzymają odszkodowanie. Platforma nie ujawniła też tożsamości skompromitowanego dostawcy, co ogranicza możliwość zewnętrznych przeglądów bezpieczeństwa całego łańcucha ataku.
Śledztwo CFTC dodaje kolejny poziom złożoności. Każde publiczne oświadczenie dotyczące włamania może przecinać się z trwającymi postępowaniami regulacyjnymi. Przeniesienie skradzionych środków na Ethereum przez most sprawia, że teoretycznie możliwe jest ich śledzenie, chociaż odzyskania środków w atakach na dostawców frontendu zdarzają się rzadko bez udziału organów ścigania.
Przeczytaj następną analizę: HIVE właśnie pożyczyło 115 mln USD przy zerowym procencie, by postawić przeciwko kopaniu Bitcoina